1. Aard, doel en duur
De verwerker verwerkt persoonsgegevens uitsluitend voor het uitvoeren van rechtmatigheidstoetsen op aangeleverde convenanten, DPIA's, verwerkersovereenkomsten en verwerkingsregisters. De duur is gelijk aan de looptijd van het abonnement.
2. Categorieën persoonsgegevens en betrokkenen
De documenten kunnen indirect persoonsgegevens bevatten van burgers, ambtenaren, partners en sleutelfiguren. Bijzondere categorieën worden niet gericht verwerkt; incidentele verwijzingen worden behandeld conform AVG art. 9 en 10.
3. Subverwerkers
Een actuele lijst van subverwerkers staat in de privacyverklaring. Toevoeging van een subverwerker wordt minimaal 30 dagen vooraf aangekondigd, zodat de verwerkingsverantwoordelijke bezwaar kan maken.
4. Beveiliging
De verwerker treft passende technische en organisatorische maatregelen conform AVG art. 32 en de BIO. Specifieke maatregelen zijn beschreven in de beveiligingsverklaring.
5. Datalekmelding
De verwerker meldt incidenten met persoonsgegevens binnen 24 uur aan de verwerkingsverantwoordelijke en levert alle informatie die nodig is om aan de meldplicht aan de Autoriteit Persoonsgegevens te voldoen (AVG art. 33-34). Datalekken kunnen worden gemeld via /juridisch/datalek.
6. Rechten van betrokkenen
De verwerker werkt mee aan het beantwoorden van inzage- en correctieverzoeken. Verzoeken van betrokkenen worden direct doorgestuurd naar de verwerkingsverantwoordelijke.
7. Audit-rechten
De verwerkingsverantwoordelijke kan jaarlijks een audit laten uitvoeren door een onafhankelijke partij, of vertrouwen op de jaarlijkse SOC 2-rapportage van de verwerker.
8. Einde verwerking
Bij einde van de overeenkomst verwijdert de verwerker alle persoonsgegevens binnen 30 dagen, behoudens een wettelijke bewaarplicht.